Comment les gouvernements achètent l’IA : les règles de passation de marchés qui reconfigurent le marché

Les gouvernements sont devenus, discrètement, la plus grande catégorie d’acheteurs d’IA sur la planète. Agences de défense, administrations fiscales, ministères de la santé, contrôles aux frontières et services sociaux déploient tous l’IA à grande échelle — et les règles de passation de marchés encadrant ces achats connaissent leur refonte la plus significative depuis une génération. Ce que les fournisseurs doivent prouver avant de remporter un marché public a fondamentalement changé. Et parce que les contrats publics font jurisprudence, les standards que les gouvernements imposent aujourd’hui redéfiniront ce que signifie « IA de niveau entreprise » dans tous les secteurs.

L’ampleur du basculement

Les dépenses mondiales des gouvernements en matière d’IA ont dépassé 40 milliards de dollars en 2025 et devraient atteindre 85 milliards d’ici 2030, selon les estimations d’IDC et Gartner. Le gouvernement fédéral américain représente à lui seul près de 18 milliards de dollars annuels, avec le Département de la Défense, les Affaires des anciens combattants et la Social Security Administration parmi les plus grands acheteurs individuels. Les États membres de l’Union européenne représentent collectivement 12 milliards supplémentaires. L’Inde, la Corée du Sud, l’Arabie saoudite et les Émirats arabes unis ont chacun engagé des budgets nationaux IA de plusieurs milliards de dollars, ciblant spécifiquement la modernisation de l’administration publique.

Il ne s’agit pas d’expérimentation marginale. Les gouvernements intègrent l’IA dans des décisions qui affectent l’accès des citoyens aux prestations sociales, les résultats de la justice pénale, le statut migratoire et l’éligibilité aux soins de santé. Les enjeux d’un échec de passation de marchés sont donc d’une nature catégoriquement différente de ceux d’une entreprise privée déployant un chatbot. Un biais dans un algorithme de recrutement est problématique ; un biais dans un algorithme déterminant l’éligibilité aux prestations sociales affecte des millions de personnes vulnérables. Cette asymétrie pousse les régulateurs à imposer des exigences qui n’existaient tout simplement pas il y a trois ans.

Marchés publics IA fédéraux américains : un nouveau référentiel

Les États-Unis ont fixé le cadre tôt. L’Executive Order 14110, signé fin 2023, a établi des exigences étendues pour les agences procédant à des achats de systèmes IA, incluant des tests de sécurité obligatoires, des exercices de red-teaming pour les systèmes à haut risque, et des exigences de filigrane pour les contenus générés par IA utilisés dans les communications gouvernementales. L’Office of Management and Budget (OMB) a suivi avec le Mémorandum M-24-10, qui demande aux agences de désigner des Chief AI Officers, de publier des inventaires annuels des cas d’usage IA, et d’appliquer le NIST AI Risk Management Framework (AI RMF) comme référentiel d’évaluation de base pour tous les achats IA.

Le NIST AI RMF est devenu la liste de conformité de facto pour tout fournisseur cherchant à obtenir un marché fédéral. Il exige que les fournisseurs documentent quatre piliers de gouvernance — Gouverner, Cartographier, Mesurer et Gérer — sur l’ensemble du cycle de vie de l’IA. Concrètement, cela signifie que les fournisseurs doivent soumettre des fiches système décrivant la provenance des données d’entraînement, les cas d’usage prévus, les limitations connues, et les performances par sous-groupes démographiques. Les contrats incluent de plus en plus des clauses exigeant que les fournisseurs notifient les agences dans les 72 heures suivant tout incident IA matériel — une norme empruntée directement au droit de notification des violations de cybersécurité.

Le Federal Acquisition Regulation (FAR) est actuellement en cours de mise à jour pour codifier bon nombre de ces exigences dans un langage contractuel standard. Une fois finalisé, toute entreprise vendant de l’IA au gouvernement américain — quelle que soit sa taille — devra satisfaire ces seuils comme condition d’attribution, et non comme un simple avantage.

La cascade de la loi européenne sur l’IA dans les marchés publics

Dans l’Union européenne, l’AI Act a introduit un cadre à niveaux de risque que les responsables des achats doivent désormais naviguer. Les systèmes classés « à haut risque » — ce qui inclut l’IA utilisée dans les infrastructures critiques, l’éducation, l’emploi, les services privés essentiels, l’application de la loi, la migration et la justice — nécessitent des évaluations de conformité avant déploiement. Pour les acheteurs publics, cela signifie vérifier que tout système IA à haut risque proposé par un fournisseur a passé une évaluation de conformité, dispose d’un dossier technique, et porte le marquage CE.

L’implication pratique est significative : les fournisseurs qui n’ont pas réalisé le travail d’évaluation de conformité ne peuvent légalement pas soumissionner à des marchés publics à haut risque dans l’UE. Cela a créé un marché à deux vitesses presque du jour au lendemain. Les acteurs établis disposant d’une infrastructure de conformité accélèrent leur travail de documentation ; les petits fournisseurs et les entreprises non-UE sans entité juridique en Europe se retrouvent de facto exclus d’un marché public représentant des milliers de milliards d’euros.

Les États membres de l’UE mettent également en œuvre des suppléments nationaux aux marchés publics. La stratégie IA de l’Allemagne inclut des critères de préférence pour les systèmes avec des résultats explicables dans les décisions administratives sensibles. La DINUM française (Direction interministérielle du numérique) a publié des orientations exigeant des audits de biais pour tout système IA utilisé dans les services publics. Ces couches nationales s’ajoutent aux exigences de la loi sur l’IA, multipliant les obligations de conformité des fournisseurs.

L’approche du Royaume-Uni, du Canada et du Commonwealth

Le Royaume-Uni, opérant hors de la loi européenne sur l’IA post-Brexit, a adopté une approche fondée sur des principes plutôt que sur des règles. Le cadre de transparence algorithmique du Cabinet Office oblige les départements gouvernementaux centraux à publier des dossiers de transparence pour les décisions assistées par IA affectant les citoyens. L’accent est mis sur la responsabilité et l’auditabilité plutôt que sur les évaluations de conformité pré-marché.

La Directive canadienne sur la prise de décision automatisée, dans sa troisième révision, impose des évaluations d’impact algorithmique graduées selon la gravité des décisions. Un système automatisant une tâche administrative à faibles enjeux nécessite une évaluation plus légère ; un système affectant l’immigration ou les prestations sociales nécessite un examen indépendant complet, des tests de biais sur les caractéristiques protégées par la Loi canadienne sur les droits de la personne, et des mécanismes explicites de dérogation humaine. La directive s’applique à toutes les institutions fédérales et est de plus en plus adoptée par les gouvernements provinciaux.

Les approches du Royaume-Uni et du Canada partagent un fil conducteur commun avec les cadres américain et européen : la charge de la preuve a définitivement basculé du gouvernement vers le fournisseur. Il ne suffit plus d’affirmer qu’un système IA fonctionne. Les fournisseurs doivent démontrer, documenter, et dans bien des cas faire vérifier indépendamment qu’il fonctionne équitablement, en toute sécurité et conformément aux critères publiés.

Ce que les fournisseurs doivent désormais prouver

Dans toutes les juridictions, un ensemble commun d’exigences pour les fournisseurs se cristallise. Toute entreprise IA sérieuse ciblant les marchés publics en 2026 doit être prête à fournir :

Documentation d’explicabilité. Pour toute décision affectant un individu, le fournisseur doit pouvoir expliquer — en termes compréhensibles par un évaluateur non technique — pourquoi le système a produit un résultat donné. Les modèles boîtes noires sont de plus en plus disqualifiants dans les catégories à haut risque.

Rapports de tests de biais et d’équité. Les fournisseurs doivent démontrer que les performances de leur système ne varient pas systématiquement selon des sous-groupes démographiques définis par la race, le genre, l’âge, le statut de handicap ou la nationalité, selon la juridiction. Ces rapports doivent être produits par des évaluateurs qualifiés et mis à jour lors de chaque réentraînement du modèle.

Registres de provenance des données. Les données d’entraînement doivent être documentées : d’où elles proviennent, quelles licences régissent leur utilisation, quelles exclusions ou filtrages ont été appliqués, et quelles lacunes ou biais connus le jeu de données contient. Les litiges post-IA générative sur le droit d’auteur des données d’entraînement ont rendu cette exigence non négociable pour les équipes juridiques gouvernementales.

Obligations de signalement d’incidents. Les contrats incluent désormais systématiquement des clauses exigeant que les fournisseurs signalent les défaillances IA, les résultats inattendus ou les vulnérabilités de sécurité dans des délais définis — généralement 24 à 72 heures pour les incidents de haute gravité.

Garanties de dérogation humaine. Pour toute décision ayant des conséquences, le système doit être conçu pour permettre à un agent humain de déroger au résultat de l’IA sans obstacles techniques. Il ne s’agit pas d’une architecture optionnelle ; c’est une exigence contractuelle.

Le mouvement de la souveraineté IA

Parallèlement aux exigences de conformité se déroule une tendance plus ouvertement politique : la préférence pour une IA souveraine. Les gouvernements en France, en Inde, au Canada et dans les États du Golfe privilégient explicitement les fournisseurs IA nationaux — ou exigent au minimum que les données traitées par les systèmes IA restent sur l’infrastructure nationale. L’initiative française « IA faite en France », la préférence de l’Inde pour les modèles domestiques dans le cadre de sa mission IndiaAI, et l’investissement de l’Arabie saoudite dans des modèles fondationnels maison via la Saudi Data and AI Authority (SDAIA) reflètent tous la même logique : les systèmes IA qui traitent des données citoyennes sensibles et des infrastructures critiques ne devraient pas être contrôlés par des entités étrangères.

Pour les entreprises IA américaines et européennes, cela représente une nouvelle catégorie d’exclusion du marché qui n’a rien à voir avec la capacité technique. C’est géopolitique par conception. La réponse des fournisseurs mondiaux a été une localisation des données agressive — déploiement de régions cloud, entraînement de variantes de modèles localisées, et structuration de contrats via des filiales locales pour satisfaire les exigences de souveraineté sans abandonner le marché.

Comment les règles de marchés publics reconfigurent la stratégie des startups

La charge de conformité des marchés publics IA est substantielle. Un fournisseur poursuivant un marché fédéral doit investir des ressources significatives en documentation, revue juridique et audit tiers avant même d’écrire une seule ligne de réponse à appel d’offres. Cela restructure le paysage concurrentiel. Les grands titulaires — Microsoft, Google, Amazon, Palantir — disposent d’une infrastructure de conformité existante et d’unités de vente dédiées au secteur public. Les startups, non.

Il en résulte une bifurcation : les startups choisissent de plus en plus soit de se spécialiser entièrement dans le GovTech dès le premier jour — intégrant la conformité dans leur architecture et leur ADN organisationnel — soit d’éviter entièrement les marchés publics pour se concentrer sur les acheteurs du secteur privé. Les entreprises en phase intermédiaire qui supposaient que les marchés publics viendraient plus tard découvrent que le chemin vers la conformité est plus long et plus coûteux que prévu.

Une petite cohorte de fournisseurs d’infrastructure de conformité IA a émergé pour combler ce vide : des entreprises proposant des audits IA automatisés, la génération de fiches système, des plateformes de test de biais et des tableaux de bord de suivi de conformité. Elles figurent parmi les segments à la croissance la plus rapide du marché des services IA, précisément parce que les règles de marchés publics ont créé une demande obligatoire.

Sources et lectures complémentaires

• Executive Order 14110 sur l’IA sûre, sécurisée et digne de confiance — White House
• Mémorandum OMB M-24-10 : Gouvernance, innovation et gestion des risques pour l’usage de l’IA par les agences — White House OMB
• Règlement (UE) 2024/1689 — Loi sur l’intelligence artificielle — EUR-Lex
• Directive sur la prise de décision automatisée — Secrétariat du Conseil du Trésor du Canada
• Cadre de gestion des risques IA du NIST (AI RMF 1.0) — National Institute of Standards and Technology
• Standard de transparence algorithmique — Cabinet Office du Royaume-Uni